Nieuwe IM-worm knoopt gesprek aan met slachtoffer

Begin deze week maakte IMlogic bekend dat er een nieuw type IM-worm in omloop is. Deze worm, gedoopt tot IM.Myspace04.AIM, heeft het voorzien op gebruikers van AOL Instant Messenger. Wat de worm vernieuwend maakt, is zijn aanpak om gebruikers te overtuigen een geïnfecteerd programma te downloaden en installeren. De malware begint te chatten met het doelwit en reageert op zijn of haar reacties met willekeurige zinnen als "lol that's cool" en "lol no its not its a virus". Één van die zinnen die het programma doorstuurt bevat een URL naar een .pif-bestand op myphotos.cc. Dit bestand is geprogrammeerd om antivirussoftware uit te schakelen en een backdoor te installeren op het systeem. Daarna begint hetzelfde interactieproces met elke contactpersoon van het slachtoffer. Dit alles gebeurt zonder het medeweten van de gebruiker. Andrew Burton, manager bij IMlogic, beweert dat dit een experiment is van virusschrijvers: "We will see one or two instances of an attack, there will be a refinement and then there will be an outbreak.".

Reacties (44)

Ik dacht eindelijk vrienden te hebben, blijkt het een worm

best leuk hoor wormen

Is dat niet meer grapig dan inzichtvol

Ik ben zelf al voorzichtig met onbekende extensies. PIF ken ik helemaal niet. Waar staat het voor eigenlijk? 'Personal Idiots File'?

Ik ken maar 3 uitvoerbare bestanden en dat zijn .exe, .com en .bat. Nou kom je .com niet veel meer tegen maar in de dos-tijd had je vaak dat soort extensie.

Zowiezo, als je dat soort berichten krijgt ga je toch direct afvragen wat hij bedoelt met zijn antwoord op een normale vraag. De gedupeerde moet dat dan toch in de gaten hebben, er zou dan een scherm omhoog moeten komen voor een conversatie.

Er zijn onder windows nog wel meer uitvoerbare bestanden

een lijstje
ADE - Microsoft Access Project Extension
ADP - Microsoft Access Project
BAS - Visual Basic Class Module
BAT - Batch File
CHM - Compiled HTML Help File
CMD - Windows NT Command Script
COM - MS-DOS Application
CPL - Control Panel Extension
CRT - Security Certificate
DLL - Dynamic Link Library
DO* - Word Documents and Templates
EXE - Application
HLP - Windows Help File
HTA - HTML Applications
INF - Setup Information File
INS - Internet Communication Settings
ISP - Internet Communication Settings
JS - JScript File
JSE - JScript Encoded Script File
LNK - Shortcut
MDB - Microsoft Access Application
MDE - Microsoft Access MDE Database
MSC - Microsoft Common Console Document
MSI - Windows Installer Package
MSP - Windows Installer Patch
MST - Visual Test Source File
OCX - ActiveX Objects
PCD - Photo CD Image
PIF - Shortcut to MS-DOS Program
POT - PowerPoint Templates
PPT - PowerPoint Files
REG - Registration Entries
SCR - Screen Saver
SCT - Windows Script Component
SHB - Document Shortcut File
SHS - Shell Scrap Object
SYS - System Config/Driver
URL - Internet Shortcut (Uniform Resource Locator)
VB - VBScript File
VBE - VBScript Encoded Script File
VBS - VBScript Script File
WSC - Windows Script Component
WSF - Windows Script File
WSH - Windows Scripting Host Settings File
XL* - Excel Files and Templates

.pif file extension, .pif file type - Macintosh : Compressed file archive

.pif file extension, .pif file type - OS/2 : Graphics metafile

.pif file extension, .pif file type - Vector image GDF format (IBM mainframe computers)

.pif file extension, .pif file type - Windows Program Information File for dos prg




Soort shotcut naar cmd/bat/com/exe als ik me niet vergis

Program InFormation file

Bevat informatie om een DOS programma te starten onder windows (b.v. hoeveelheid te gebuiken geheugen en zo).

Groot nadeel van windows vind ik, dat bestanden uitvoerbaar zijn, alleen maar vanwege de extensie, i.t.t . b.v. het toegangsrechten systeem onder unix/linux.

doet me denken aan die irritante MSN-wormen

"LOL, is this you? *url naar een .pif file*"

en vervolgens werd ik door een hoop mensen aangesproken omdat hun computer traag zou zijn, mag ik het weer op gaan lossen, dacht t niet

De Ware ITer zegt natuurlijk "dat is goed, ik kost 40 euro per uur zwart in de avonden door de weeks en 80 euro per uur in de avonden in het weekend, ook weer zwart, en overdag in het weekend zwart 60 euro. Uiteraard geef ik geen garanties over databehoud of geschiktheid van mijn oplossing voor jouw probleem én ben je zelf verantwoordelijk voor licenties en media voor en van je software bij herinstallatie. Als ik op jacht moet naar drivers is dat prima maar de meter loopt gewoon door, plus de kosten voor het gebruik van jouw eigen internet aansluiting. Gebruik van m'n UMTS kaart kost één euro per vier MB, dat is een vriendenprijsje waar ik dan niets meer op verdien."

Zo stimuleer je mensen zelf hun probleem te proberen op te lossen.

en vervolgens vraag jij aan die loodgieter (of whatever), voor wie je zoveel voor rekende, of hij/zij ff gauw je lekkende kraan wilt repareren en krijg je een zelfde rekensommetje voor je neus...

lol een ding dat constant hetzelfde zegt, dat heb je toch zo door? Deze aanpak is volgens mij zo dom dat er maar weinigen in zullen trappen...
En een bot met maar een basiskennis aan Artificial Intelligence gaat geheugen vreten en je verbinding dichtslibben als je zo'n 100-tal gebruikers in je lijst hebt staan...
Veel toekomst zie ik niet in dit soort virussen.

Je weet niet half hoe dom we zijn met zijn allen tegenwoordig!

Inderdaad, mensen met een beetje IT kennis denken bijvoorbeeld ook altijd dat er niemand in die mailtjes trapt waarin wordt beweerd "je hebt een auto gewonnen, blablabla...", maar een kort onderzoekje onder wat familieleden blijkt toch het tegendeel aan te wijzen, en dat is ook niet zo gek. Als jij 0,0 ervaring hebt met dit soort dingen, helemaal als je van nature ook nog Engelstalig bent, waarom zou je er dan niet intrappen als een bekende contact met je opneemt en zegt "is this you"?

Je weet niet half hoe dom we zijn.. Hm antwoord binnen de vraag? HALF! of toch niet?

gewoon 2x een kwart. Half zó dom

Mooie is dat in msn pif links niet doorkomen dus ze mogen dit virus wel schrijven voor msn, ze hebben er alleen niks aan

Ze kunnen toch linken naar een URL die automatisch forward naar een .pif? Het is vrij eenvoudig (.htaccess) naar een .jpg file te linken, die bij het openen redirect naar een.pif. Je krijgt dan nog wel een venstertje of je het wil openen/downloaden, maar je IM client staat dan inmiddels buitenspel.

De reden dat de worm engels "praat", hoewel ik dit een overstatement vind, is omdat hij zich richt op de massa. Natuurlijk is het beter als de worm alle wereld-talen beheerst, en zeker met zijn huidige vocabulair geen enkel probleem. Maar hij is geschreven voor Windows om de gros te besmetten, dan is het logisch dat hij enkel engels kent, ook dit is weer de gros van Windows gebruikers.

Hoewel het zeer vervelend is, vind ik het zeker interresant om te zien hoe virussen steeds meer gebruik maken van Artificial Intelligence. Er komt een tijd dat men de grote internet-verbindingspunten plat gooit, en iedereen met een pc verplicht wordt te formatteren omdat een uitbraak van een zeer intelligent virus niet meer te remmen is.

Dit is geen AI, alleen wat voorgeprogrammeerd gebrabbel. En voor jouw doemscenario heb je min of meer 'universele intellgentie' nodig, oftewel de intelligentie zoals in mensen. Dit is al 50+ jaar de graal van de AI research dus het zal zo'n vaart niet lopen.

Als ze die wormen nou ook nog de goede taal laten praten gaat het volgens mij helemaal hard. Het lijkt me een beetje verdacht als een klasgenoot ineens engels tegen me begint te praten. Als hij nederlands zou praten zou ik er bijna nog intrappen (als de pif/exe/scr/com extensie niet te zien is dan).

het is ook een AOl virus (een client die veel populairder is in amerika), dus praat hij engels, nederland is daarvoor een te kleine doelgroep denk ik.
De bestandsextensie is eenvoudig te verbergen, gewoon een (php/asp/jsp) scriptje maken dat of headers en bestand verstuurd of forward naar goede bestand, zal wel nog eenvoudiger te doen zijn met .htaccess oid.

Voordat MSN en andere im's besmet worden, ik heb myphotos.cc maar even aan mijn hosts-file toegevoegd.

Als je iets vraagt als:

"waren die spruitjes lekker" en dat apparaat antwoord met "lol that's cool" ben je toch wel achterlijk als je hier in trapt.

Mja, dat geld toch ook al wel zodra je AOL gebruikt......

Ja, maar het veranderd al als je, zoals meer mensen doen denk ik, reageert als: "Dit is geen virus, toch?"?
Als je dan terugkrijgt: "lol, it's not a virus", dan verwacht ik dat hele volksstammen dat bestand toch openen...

edit: kromme zin iets veranderd

Yes, het eerste virus dat aan social engineering doet.

Maar mensen hun waakzaamheid verslappen is niet zo moeilijk hoor. Maak maar eens programma met een ikoon dat exact op een verkleinde groepsfoto lijkt. Stuur het naar een bekende en vraag daarbij sta jij daar op de middenrij derde van links? Het ziet er uit als een plaatje er wordt verwezen naar een plaatje en het komt van een bekende; men dubbelklikt.. zonder naar de extensie te kijken.

En in dit geval pif, men kent wellicht png en tiff voor plaatjes. Het is dan ook verleidelijk om aan te nemen dat .pif ook een plaatjesformaat is.

... dan toch volkstammen die `lol' niet verstaan: hoezo
ik: <is het een virus?>
worm:<lol it's not..>
wat is daar grappig? Waarom moet ik daar `lol' begrijpen? Ik denk dat mijn volgende zin
ik: <hoezo lol? waar hebt ge't over?!>
zou zijn

@MarvinDMartian.

RTFM http://nl.wikipedia.org/wiki/LOL

Chatters die "lol" niet begrijpen? Denk niet dat er veel zijn hoor.

waarom ben je meteen achterlijk als je aol gebruikt msn is bijna het zelfde hoor evenals alle andere protocollen

En jij dacht dat MSN alleen te gebruiken was op Windows? Think again

De worm maakt nu misschien gebruik van .pif bestanden, maar het is natuurlijk peanuts om een zelfde soort geintje uit te halen voor willekeurige andere messengers en OS'en.

Hello!!!??? Worm?? OS X??

Met al die iPods en Mac mini's in omloop zou je toch verwachten dat er op zijn minst iemand zich toch eens zou bezig gaan houden met virussen of wormen. Maar blijkbaar slaagt er blijkbaar toch niemand in en nu OSX ook op Intel en AMD proc beschikbaar zijn is er voor ontwikkelaar zelfs geen price issue meer

Nee, Nederland is een veel te klein percentage internetters.

gezien het percentage adsl, kabel en inbel abbonees toch niet hoor, staan we in de top 5 van internet gebruikers!

staan we in de top 5 van internet gebruikers!
Dat gaat om het percentage gebruikers. In absolute aantallen zijn er een aantal landen waar meer gebruikers zijn. En aantallen gebruikers uit Engels-sprekende landen (zoals de VS, Australie, UK) zijn nog veel groter. Dus is het inderdaad niet/nauwelijks interessant om deze worm voor Nederlanders te herschrijven...

ik neem aan dat dat bestandje ondertussen van die server verwijdert is?

Als ik het me goed herinner is het dezelfde server / hetzelfde domein waarop altijd de IRC exploits gehost werden (men klikt, en de pc sluit af), dus denk dat die site zelf verbannen moet worden, en het niet enkel om dat ene filetje zal gaan...